Fahrzeug-Cybersicherheit (ISO/SAE 21434)-Zertifizierung

ISO/SAE 21434 definiert Anforderungen an die Cybersicherheitstechnik in Straßenfahrzeugen. Während sich ISO 26262 mit der funktionalen Sicherheit (fehlerbedingte Risiken) befasst, befasst sich ISO 21434 mit Risiken, die durch vorsätzliche Angriffe entstehen. Es deckt den gesamten Lebenszyklus von der Konzeptphase bis zur Stilllegung ab und stellt die Bedrohungsanalyse und Risikobewertung (TARA) in den Mittelpunkt.

• Fahrzeughersteller und Systemintegratoren
• Entwickler von Steuergeräten, Telematik- und Konnektivitätsmodulen
• Zulieferer von Automobilsoftware
• Firmen, die Over-the-Air (OTA) Software-Updates anbieten
• Hersteller erhalten eine Typgenehmigung gemäß UNECE R155

Als Standard freiwillig, aber sein Ergebnis ist faktisch verbindlich: Die UNECE R155-Verordnung erfordert ein Cybersecurity Management System (CSMS) für die Fahrzeugtypgenehmigung, und ISO/SAE 21434 ist der Standard, auf den verwiesen wird, um diese Anforderung zu erfüllen. Für Lieferanten ergibt sich die Verpflichtung aus OEM-Verträgen.

• Organisatorisches Cybersicherheitsmanagement: Richtlinien, Rollen, Kultur, Kompetenz
• Projektabhängiges Cybersicherheitsmanagement und der Cybersicherheitsplan
• Verteilte Cybersicherheitsaktivitäten: Aufteilung der Verantwortung zwischen Kunde und Lieferant
• Kontinuierliche Cybersicherheitsaktivitäten: Schwachstellenüberwachung, Vorfallmanagement und Reaktion
• Konzeptphase: Artikeldefinition, Cybersicherheitsziele
• Bedrohungsanalyse und Risikobewertung (TARA): Asset-Identifizierung, Bedrohungsszenarien, Auswirkungsbewertung, Angriffspfadanalyse, Durchführbarkeit und Risikobestimmung
• Produktentwicklung: Spezifikation, Integration und Verifizierung der Cybersicherheit
• Überprüfung und Validierung der Cybersicherheit; Penetrationstests
• Produktion, Betrieb und Wartung: Update-Management
• Ende der Unterstützung und Außerbetriebnahme

1. 1AntragEs werden der Tätigkeitsbereich, die Mitarbeiterzahl, die Anzahl der Standorte und die Grenzen des Wirkungsbereichs der Organisation festgelegt. Aus diesen Informationen wird die Anzahl der Audittage berechnet.
2. 2Dokumentenprüfung (Stufe 1)Die Dokumentation des Managementsystems, die Definition des Geltungsbereichs, die Risikobewertung und die Aufzeichnungen zu internen Audits/Managementbewertungen werden geprüft. Die Bereitschaft für das Vor-Ort-Audit wird beurteilt.
3. 3Zertifizierungsaudit (Stufe 2)Vor Ort wird überprüft, ob das System implementiert und wirksam ist. Feststellungen werden als größere/geringfügige Nichtkonformität oder Beobachtung klassifiziert.
4. 4Nichtkonformitäten schließenDie Organisation legt eine Ursachenanalyse und einen Korrekturmaßnahmenplan vor. Das Zertifikat wird erst ausgestellt, wenn größere Abweichungen behoben sind.
5. 5Ausstellung des ZertifikatsDas Zertifikat wird nach Prüfung durch einen unabhängigen Entscheidungsträger ausgestellt. Das Auditteam kann die Zertifizierungsentscheidung nicht treffen.
6. 6ÜberwachungsauditsWährend der Gültigkeitsdauer des Zertifikats wird mindestens einmal jährlich ein Überwachungsaudit durchgeführt. Die erste Überwachung darf 12 Monate ab dem letzten Tag von Stufe 2 nicht überschreiten.
7. 7RezertifizierungNach Ablauf von drei Jahren wird das gesamte System erneut auditiert; Es muss vor Ablauf des Zertifikats abgeschlossen sein.

Managementsystemzertifikate haben eine Gültigkeit von drei Jahren. In diesem Zeitraum wird mindestens ein Überwachungsaudit pro Jahr durchgeführt; das Zertifikat wird ausgesetzt, wenn keine Überwachung durchgeführt wird. Am Ende des dritten Jahres wird ein Rezertifizierungsaudit abgeschlossen.

• Handelsregistereintrag und Betriebslizenz
• Das Organigramm und die Mitarbeiterzahl der Organisation
• Die Liste der Sites/Zweigstellen innerhalb des Geltungsbereichs
• Das Managementsystemhandbuch oder die Prozessdokumentation
• Aufzeichnungen zu internem Audit und Managementbewertung
• Sofern vorhanden, gesetzliche Genehmigungen, Lizenzen und Betriebsunterlagen

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

• Die Mitarbeiterzahl innerhalb des Geltungsbereichs (bestimmt direkt die Anzahl der Audittage)
• Die Anzahl der Standorte und Filialen; ob die Probenahme an mehreren Standorten gilt
• Das Risikoniveau und die Prozesskomplexität der Aktivität
• Die Anzahl der zu zertifizierenden Standards — ein integriertes Audit reduziert die Anzahl der Tage
• Der Dreijahreszyklus: Zertifizierung + zwei Überwachungsaudits

Die Zertifizierung des Managementsystems erfolgt im Rahmen der ISO/IEC 17021-1. Die Zertifizierungsstelle ist von einer Akkreditierungsstelle akkreditiert, die Vertragspartei des IAF Multilateral Recognition Agreement (IAF MLA) ist; Dieses Abkommen legt eine internationale Anerkennungskette fest, die sicherstellt, dass ein in einem Land ausgestelltes Dokument in anderen Ländern akzeptiert wird. EUROLAB verfügt über eine international anerkannte Akkreditierung von IAF-Mitgliedsakkreditierungsstellen im Rahmen von ISO/IEC 17021-1.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

• ISO 26262Funktionale Sicherheit
• TISAXBewertung der Automobil-Informationssicherheit
• IATF 16949Automobil-Qualitätsmanagement
• VDA 6.1Audit des Automobil-Qualitätsmanagementsystems
• VDA 6.3Prozessaudit
• VDA 6.5Produktaudit
• UNECEFahrzeugtypgenehmigung
• E-MarkFahrzeughomologation